研究人员发现大量Docker主机防护不足，而沦为挖矿工具

Docker应用日愈广泛，但安全研究人员近日发现数千台Docker主机欠缺安全防护使远端API曝露于公开网络上，导致已有数百台Docker主机遭植入挖矿程式。

Docker远端API是很方便的管理途径，但若被有心人取得，就会对公司网络带来灾难。例如Docker远端API可控制远端Docker主机，包括自动执行部署、控制与取得容器状态。安全公司Imperva指出，Docker 远端API会听取2735 / 2736传输埠，它预设只能经由loopback界面（localhost、127.0.0.1）存取，不应对外开放。一旦缺乏安全防护，就会成为外部攻击者的下手目标。如去年一些企业使用公开可存取的Redis服务器因组态不当，导致RedisWannaMine攻击行动，使系统被下载植入挖矿程式。

雪上加霜的是，安全公司于二月发现一个编号CVE-2019-5736的漏洞，可让攻击者取得Docker容器的根权限。结合新漏洞及对外公开的远端Docker API将能使Docker主机被完全攻陷。

Imperva近日利用Shodan搜索引擎搜索网络上执行Docker主机对外开放的传输埠，就发现有3,822台Docker主机的远端API曝露于公开网络上。分布地点以美国和中国为最大宗，其次是新加坡、法国与德国。

研究人员与这些IP上的2735传输埠建立连线并列出Docker 映像档，发现当中有将近400个IP可被公开存取。他们进一步分析发现，这数百个IP正在执行一只挖矿程式，也就是企业主机已遭挖矿劫持用来挖门罗币（Monero），这类加密货币的挖矿流量很隐密，几乎无法追查到来源、目的地及挖矿数量。

其他数千台Docker主机则执行MySQL数据库、Apache Tomcat等正式作业环境。

研究人员指出，远端API曝露导致Docker主机上的容器被骇后患无穷，挖矿劫持只是其一，骇客还能以遮罩的IP发动攻击、建立僵尸网络、代管钓鱼服务、窃取帐密及重要资料、将攻击导向企业内部网络等。